Azure punt-naar-site maakt verbinding, maar geen enkele privébron reageert
Verbonden betekent alleen dat de tunnel omhoog is. Controleer wat de gateway kan dragen, vergelijk de adresruimtes en los dan een naam op en test de dienst zelf.
Verbonden is een toestand van de tunnel, geen uitspraak over bereikbaarheid. Een punt-naar-site-client kan IKE afronden, een adres krijgen en toch niets bereiken, omdat de gateway alleen verkeer doorstuurt voor netwerken die het VNet al kent. Werk deze vijf controles in volgorde af en stop bij de eerste fout. Vooruit springen is hoe een DNS-probleem een uur lang als firewallprobleem wordt behandeld.
De volgorde is belangrijker dan de lijst.
Controle 1: bepaal wat de tunnel moet dragen
Azure VPN Gateway beëindigt de tunnel en stuurt verkeer door dat bij het VNet hoort; het isgeen algemene internetuitgang. Als gebruikers verwachten dat hun browsen via Azure naar buiten gaat, is het ontwerp verkeerd voordat er überhaupt een clientinstelling aan te pas komt. Schakel split tunneling in zodat lokaal internet het lokale pad blijft gebruiken, en gebruik een NAT-instantie of een site-naar-site-tunnel wanneer een vast uitgangsadres echt nodig is.
Schrijf op waar de client moet komen voordat je iets test. Zonder die lijst lijkt elk deelresultaat op vooruitgang.
Controle 2: vergelijk adresruimtes vóór certificaten
Overlap wordt beoordeeld op de bredere bereiken, dus twee netwerken die op subnetniveau verschillen botsen nog steeds als hun bovenliggende blokken overlappen. Het gatewaysubnet moet toegewijd en groot genoeg voor de SKU zijn, en de clientadrespool mag niet botsen met het VNet of met iets dat via een peering bereikbaar is. Wijzig het plan en implementeer opnieuw, want extra routes als compensatie leveren een tunnel op die voor sommige bestemmingen werkt en voor andere onverklaarbaar niet. Provisioning faalt hier luid, en dat is het goede geval.
Verificatie is de volgende poort. Certificaat-, RADIUS- en Entra ID-profielen zijn niet uitwisselbaar, en het clientpakket verschilt voor elk.
Controle 3: los een privénaam van binnenuit op
De client houdt zijn eigen resolver, tenzij het gedownloade profiel de DNS-servers van het VNet bevat, en die lijst wordt bij het downloaden ingebed. Voeg een forwarder toe in het VNet, stel die in als DNS-server van het VNet en download en importeer het clientpakket daarna opnieuw. Hergebruik van het oude pakket test alleen de oude resolverlijst.
Test eerst een adres, want dat scheidt routering van naamgeving in één stap: Test-NetConnection 10.20.1.4 -Port 3389.
Als het adres antwoordt en de naam niet, vraag de resolver dan rechtstreeks met Resolve-DnsName files.corp.example -Server 10.20.0.4. Als beide mislukken, ligt de fout niet bij DNS en moet je stoppen met het bewerken van DNS-instellingen. Azure-platform-DNS op 168.63.129.16 antwoordt alleen van binnen het VNet, dus een client daarbuiten kan dat adres niet als resolver gebruiken.
Controle 4: test de dienst achter de tunnel
Een gezonde tunnel en een gesloten poort zien er vanaf de client identiek uit. Controleer de firewall van de gast, dan de netwerkbeveiligingsgroep op het subnet of de NIC, en dan of de dienst op het privéadres luistert in plaats van alleen op loopback. Sta de clientpool als bron toe in plaats van een regel naar internet te openen, en onthoud dat SMB naar Azure Files het pad van het privé-eindpunt via de tunnel nodig heeft. Als een bron op IP maar niet op naam antwoordt, ga dan terug naar controle 3 in plaats van de gateway aan te raken.
Eén tabel houdt de lagen gescheiden terwijl je werkt:
| Symptom | Layer to check |
|---|---|
| Name fails, private IP works | Resolver setting or forwarder |
| Private IP also fails | Address plan, NSG, guest firewall |
| Private works, internet fails | Expected; the gateway is not an egress |
| Connects, then drops | Tunnel type or certificate mismatch |
Controle 5: leg het profiel vast voordat je escaleert
Zet het gatewaytype, tunneltype, de verificatiemethode en het besturingssysteem van de client in het ticket. Een certificaat-IKEv2-profiel en een RADIUS-profiel falen om verschillende redenen, en een client die voor een ander tunneltype is gebouwd, maakt alleen verbinding als de gateway een compatibel protocol biedt.
Voor een klein team is het duurzame ontwerp één VNet, één DNS-forwarder en een gedocumenteerde split-tunnelclient. Als de eis een vaste openbare uitgang is, beëindig dan een site-naar-site-tunnel op een firewall die je beheert en leid het internetverkeer daarheen, in plaats van de punt-naar-sitegateway te vragen iets te doen waarvoor hij nooit is gebouwd.